Iptables nat

[Ali]

Как сделать редирект всех пользователей с порта 80 на 3128 кроме с eth1 и одного хоста внутренней сети? Заранее спасибо!!!

[vidok]

iptables -A INPUT -i eth1 -p tcp --dport 80 -j DROP
iptables -A INPUT -s ............. -p tcp --dport 80 -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 3128
чтото типа этого
тебе eth1 и один хост вообще надо отрубить или просто они по другому пути пойдут??????????

[Ali]

нет не DROP. Они должны иметь доступ на 80 порт. А остальные при обращении на 80 перенаправлялись на 3128. Вобщем все пользователи локалки должны идти в инет через squid , кроме одного который я хочу пустить мимо прокси через iptables, а с eth1 запросы на сайт который висит на серваке(и шлюз в инет и web-сервер) не редиректировались на 3128.

[vidok]

iptables -t nat -A PREROUTING -i ! eth1 -s ! ...........-p tcp --dport 80 -j REDIRECT --to-ports 3128

[Ali]

Где можно явно увидеть(в командах) настроийки iptables(в каком файле)?

[vidok]

iptables -L
если делал iptables-save > /etc/sysconfig/iptables то там тоже

[Ali]

iptables -L
если делал iptables-save > /etc/sysconfig/iptables то там тоже

Ну понятно. Значит по-другому никак. Thanks!

[SashaAl]

iptables -t nat -A PREROUTING -i ! eth1 -s ! ...........-p tcp --dport 80 -j REDIRECT --to-ports 3128

А как редирект с eth0 на eth1 сделать? Просто нат. Кстати, для этого надо будет ip_forwarding включить?

[vidok]

вообще то самое офигенное руководство по iptables это
http://www.opennet.ru/docs/RUS/iptables/
по крайней мере для себя я нахожу все ответы там

[SashaAl]

2vidok
добавил правило маскарадинга:
iptables -t nat -A POSTROUTING -s x.x.x.0/24 -j SNAT --to-source y.y.y.2
-s x.x.x.0/24 - локальная сетка, нв интерфейте eth1
y.y.y.2 - IP адрес сетевки eth0, через который все пакетики бегут "наружу"
Все хорошо, нат заработал (хотя непроверял обратное направление). А вот как вот к этому правилу да добавить, что бы не все пакеты гуляли туда-сюда, а только на 25й и 110й порты, т.е. только почта в обход проксе была?

[vidok]

iptables -A FORWARD -i eth1 -s $NET1 -p tcp -o ppp0 -m multiport --dport 25,110,143 -j ACCEPT
iptables -A FORWARD -i eth1 -s $NET1 -p udp -o ppp0 -m multiport --dport 25,110,143 -j ACCEPT
остальное дропаешь
P.S. это кусок моего конфига, надеюсь наведу тебя на мысль

[SashaAl]

значение $NET1 напиши .... я только-только начал разбираться с iptables'ами, поэтому еще сложнова-то сразу расшифровывать правила

[vidok]

просто у меня 3 подсети, чтоб каждый раз их не писать я переменные сделал
$NET1=192.168.1.0/24